--- title: "Allarmi CloudWatch via chiamata, senza Lambda né Twilio" description: "SNS non può chiamare un telefono. Instrada gli allarmi CloudWatch via EventBridge a un webhook di chiamata: setup, filtri e trappole da evitare." date: 2026-10-16 author: Nooc authorAvatarLink: /images/avatars/nooc.webp authorLink: https://nooc.me tags: - AWS - CloudWatch - EventBridge - avvisi via chiamata - webhook - reperibilità --- # Allarmi CloudWatch via chiamata: da EventBridge al telefono, senza Lambda Un allarme CloudWatch non può chiamare il tuo telefono. Le sue uniche azioni integrate sono SNS, Auto Scaling, EC2 e Systems Manager, e SNS finisce in una mail, in un SMS o in una coda che devi stare a guardare. I tutorial che alla fine fanno squillare il telefono mettono in piedi una funzione Lambda e un account Twilio. Puoi fare a meno di entrambi: lascia che EventBridge riceva il cambio di stato dell'allarme, lo rimodelli in un piccolo corpo JSON e lo mandi con una POST a un canale di chiamata Echobell. Questa guida copre l'intero percorso: il canale, la regola EventBridge, l'input transformer, i filtri che mantengono significativo lo squillo e il motivo per cui puntare SNS direttamente al webhook sembra una buona idea e per lo più non funziona. ## Perché la solita strada con SNS diventa scomoda Il consiglio di default è "allarme → topic SNS → sottoscrittore". Per una telefonata ci sono tre problemi: - **SNS non ha un protocollo vocale.** I tipi di sottoscrittore sono email, SMS, push mobile, SQS, Lambda, Firehose e HTTP(S). Un SMS si perde facilmente ed è bloccato da Non disturbare; per una chiamata vocale serve qualcosa che costruisci tu. - **Il messaggio HTTPS è una stringa dentro una stringa.** SNS consegna il suo envelope con `Content-Type: text/plain`, e l'allarme stesso è un documento JSON serializzato nel campo `Message` dell'envelope. Un ricevitore di webhook che legge dei campi — `AlarmName`, `NewStateValue` — trova un unico blob opaco. - **L'envelope è grande.** Tra firma, URL del certificato di firma e link di disiscrizione, l'envelope aggiunge ben più di un kilobyte prima che inizi il testo del tuo allarme. Echobell tronca il corpo di una notifica a 1500 byte, quindi un template "riversa tutto il corpo" si interrompe proprio dove comincia la parte utile. Puoi far funzionare SNS con una Lambda che spacchetta il messaggio e lo inoltra. Ma CloudWatch pubblica già ogni cambio di stato degli allarmi su EventBridge come un pulito evento JSON — senza alcuna azione da configurare — ed EventBridge può rimodellarlo e chiamare da solo un endpoint HTTPS. ## Cosa ti serve - Un account AWS e il permesso di creare regole, connessioni e API destination in EventBridge - Echobell installato ([App Store](https://apps.apple.com/app/apple-store/id6743597198?pt=128151925&ct=blog-cloudwatch-alarm-phone-call-alerts-it&mt=8) / [Google Play](https://play.google.com/store/apps/details?id=one.echobell.echobellandroid)) - Almeno un allarme CloudWatch esistente - Dieci minuti Dalla tua parte non serve nulla che accetti traffico in ingresso. La richiesta in uscita la fa EventBridge. ## Passo 1 — Crea un canale che squilla In Echobell crea un canale e imposta il tipo di notifica su **Chiamata**. Un canale di chiamata si comporta come una telefonata in arrivo invece che come un push, quindi passa attraverso Full Immersion e Non disturbare di iOS. Il transformer del passo 3 invia un corpo piatto con i campi `alarm`, `state`, `reason`, `region` e `link`, quindi i template restano brevi: ``` Titolo: {{state}}: {{alarm}} Corpo: {{reason}} ``` Imposta il **template del link** nelle impostazioni avanzate, così toccando la notifica si apre l'allarme nella console: ``` {{link}} ``` Copia l'URL del webhook dalla vista di dettaglio del canale: ``` https://hook.echobell.one/t/ ``` ## Passo 2 — Crea la connection e l'API destination EventBridge chiama endpoint HTTPS esterni tramite una **API destination**, che richiede una **connection** che porta l'autenticazione. Echobell autentica con il token segreto nell'URL, quindi la connection è una formalità — ma EventBridge non crea una destination senza. 1. Apri **EventBridge → Integration → API destinations → Connections → Create connection** 2. **Name**: `echobell` 3. **Authorization type**: **API key** 4. **API key name**: `x-source`, **Value**: `eventbridge` 5. Crearla, poi vai su **API destinations → Create API destination** 6. **Name**: `echobell-calling` 7. **API destination endpoint**: l'URL del tuo canale Echobell del passo 1 8. **HTTP method**: `POST` 9. **Invocation rate limit**: `1` al secondo basta e avanza e fa da valvola di sicurezza 10. **Connection**: `echobell` L'header con la API key viene inviato a ogni richiesta. Puoi controllarlo in una condizione del canale Echobell se vuoi un secondo cancello davanti al token: ``` header["x-source"] == "eventbridge" ``` ## Passo 3 — Crea la regola e l'input transformer Vai su **EventBridge → Rules → Create rule** nella stessa regione dei tuoi allarmi. Le regole sono regionali: un allarme in `eu-west-1` è invisibile a una regola in `us-east-1`. Usa l'event bus **default** e una regola di tipo **event pattern**. Questo pattern intercetta ogni allarme che passa in `ALARM`: ```json { "source": ["aws.cloudwatch"], "detail-type": ["CloudWatch Alarm State Change"], "detail": { "state": { "value": ["ALARM"] } } } ``` Come target scegli **EventBridge API destination** e seleziona `echobell-calling`. Lascia che la console crei una nuova execution role: concede `events:InvokeApiDestination` per questa destination e nient'altro. Poi espandi **Additional settings → Configure target input → Input transformer**: **Input path** ```json { "alarm": "$.detail.alarmName", "state": "$.detail.state.value", "reason": "$.detail.state.reason", "region": "$.region", "time": "$.time" } ``` **Template** ```json { "alarm": "", "state": "", "reason": "", "region": "", "time": "